CVE-2026-79921

WysokieCVSS 8.9

Opublikowano: 26/08/2026(UTC)Zaktualizowano: 09/09/2026(UTC)Przetłumaczono: 27/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

amqp091-go to klient AMQP 0.9.1 w języku Go. Przed wersją 1.13.0, złośliwy broker AMQP może zmusić klienta do alokacji zasobów i przetwarzania ramek treści przekraczających limit frame_max. Może to prowadzić do nieoczekiwanego zużycia pamięci lub ataku DoS na warstwie aplikacji, omijając wbudowane ograniczenia protokołu. Wersja 1.13.0 zawiera poprawkę. Nie są znane żadne obejścia.

Ocena ryzyka

Organizacja może doświadczyć awarii aplikacji lub wyczerpania zasobów pamięci, co prowadzi do przerw w działaniu usług.

Rekomendacja

Zaleca się natychmiastową aktualizację do wersji 1.13.0 lub nowszej, aby wyeliminować podatność.

Inne podatności w amqp091-go

CVE-2026-107386Średnie
W bibliotece amqp091-go (klient AMQP 0.9.1 dla Go) w wersjach od 1.13.0 do 1.14.0 można obejść mechanizm ograniczania rozmiaru ramki przed zakończeniem negocjacji connection.tune, ponieważ Connection.maxFrameSize używa zera zarówno dla stanu nieuzgodnionego, jak i dla stanu bez limitu. Złośliwy lub skompromitowany peer AMQP może wysłać krótki nagłówek ramki z dużym zadeklarowanym rozmiarem ładunku, powodując alokację pamięci wybranej przez atakującego przed odebraniem ładunku lub odrzuceniem stanu protokołu. Problem został naprawiony w wersji 1.14.0.

Oryginalny opis (angielski, źródło NVD)

amqp091-go is a Go AMQP 0.9.1 client. Before version 1.13.0, a compromised or malicious AMQP broker can force the client to allocate resources for and process content body frames that exceed the negotiated frame_max limit. This can lead to unexpected memory consumption or application-layer denial of service (DoS), bypassing the protocol's built-in framing constraints. Version 1.13.0 contains a fix. No known workarounds are available.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS